PT-2024-21432 · WordPress · Zd Youtube Flv Player

Mike · Publicado 2024-04-30 · Atualizado 2024-05-01 · CVE-2024-2663

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.3

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Plugin ZD YouTube FLV Player para WordPress, versões até a 1.2.6, inclusive

Descrição

A vulnerabilidade permite que invasores não autenticados realizem solicitações web para locais arbitrários a partir da aplicação web, o que pode ser usado para consultar e modificar informações de serviços internos. Isso é feito por meio do parâmetro $ GET[‘image’].

Recomendações

Para versões até a 1.2.6, inclusive, atualize o plugin ZD YouTube FLV Player para WordPress para uma versão que não seja afetada por esta vulnerabilidade.

Como solução temporária, considere restringir o acesso ao parâmetro $ GET[‘image’] para minimizar o risco de exploração.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-2663

Produtos afetados

Zd Youtube Flv Player

Referências · 6

• https://twitter.com/CVEnew/status/1785227322947170750 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-2663 · Nota de Segurança
• https://wordpress.org/plugins/zd-youtube-flv-player · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/f6f26854-7e25-4e64-9f03-916ece6fde03?source=cve · Nota
• https://twitter.com/linuxpatch/status/1785249363133923488 · Publicação no Twitter
• https://twitter.com/cracbot/status/1785612294963036275 · Publicação no Twitter